Claude Code Mods: плагины, меняющие поведение агента

Каждый шаг Claude Code — это событие: вызов инструмента, запрос разрешения, отрисовка. Мод подписывается на события и отвечает до, после или вместо: переписать промпт до модели, заблокировать или повторить вызов, одобрить или отклонить разрешение, вычистить секреты из вывода до чтения моделью, дорисовать интерфейс. В отличие от shell-хуков, мод живёт всю сессию: хранит состояние, обновляет UI, вызывает Claude Code обратно.

Ключевое — порядок: мод отвечает после ваших правил и обычных хуков. Проверка вызова видит решение правил и хуков и возвращает своё — и именно оно действует. Событие вызова инструмента вообще пропускает ваши хуки, если мод ответил сам. Понимание порядка важнее списка событий: кто отвечает последним, тот и решает.

Независимая проверка на версии 2.1.287 показала: мод одобряет то, что заблокировал хук и отклонило правило запрета, — везде, кроме управляемых настроек. На машинах с управляемыми настройками (команда, предприятие) первым грузится встроенный guard, удерживающий запреты поверх пользовательских модов; проектный хук вне управляемых настроек такой защиты не получает. Вывод безжалостный: правило, которое обязано держаться при любом плагине, живёт только там, где мод не отвечает после него.

Практические места: управляемые настройки для команд, контейнер без выхода для одиночек, защищённая ветка на хостинге, секреты, которых сессия не видит в принципе. Проверка плагина перед установкой — обязательный ритуал: читать репозиторий, смотреть заявленные события и вызовы, перепроверять после каждого обновления (моды приезжают обычным путём обновлений). Отключение плагина убирает и мод вместе с его панелью.

Ставьте как пакеты: только от тех, кому доверяете код на своей машине. Начните с чтения трёх встроенных модов с тестами — они показывают канон: поддержка промптов, диф-панель, guard по умолчанию. Свои моды пишите узкими: один мод — одна задача, матчер уже задачи, состояние минимальное.

Защитный мод — это safety net, а не система разрешений: он читает текст команды, и обёртки вида подстановок, алиасов и скриптов проходят мимо. Жёсткий запрет — правилами разрешений, а не текстом. И помните: ничего из этого не ново по охвату — враждебный плагин и раньше мог всё; новое — приоритет ответов, и именно он ломает наивное «хук запретил — значит запрещено».